Bugg i Linuxsystem i klass med Heartbleed

[Alix]

Det är en fråga om en bugg i bash.

 

http://blog.erratasec.com/2014/09/bash-bug-as-big-as-heartbleed.html?m=1

[Alix]

Tillägg: Omfattar alla -x-system, även Mac OS X. Jag kör Mac OS X 10.9.5 och det är sårbart, se dump. Man kan testa med terminalkommandot:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Om det är sårbart får man svaret:

vulnerable
this is a test

Om det INTE är sårbart får man svaret:

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

[xeric]

Ja, man får väl se hur Apple hanterar det. De brukar inte vara så snabba på uppdateringar. Men man kan sitta rätt lungt i båten ändå... såvida man inte kör servrar med cgi osv... Att köra bash lokalt är tämligen ofarligt, det är hur andra program anväder/kan använda bash för att köra sina saker som är buggen. T ex att köra Apache med mod_php påverkas inte, medans att köra med mod_cgi/mod_cgid är utsatt för en ev attack.

A test on Mac OS X 10.9.4 ("Mavericks") by Ars showed that it also has a vulnerable version of Bash. Apple has not yet patched Bash, though it just issued an update to "command line tools."

While Bash is often thought of just as a local shell, it is also frequently used by Apache servers to execute CGI scripts for dynamic content (through mod_cgi and mod_cgid). A crafted web request targeting a vulnerable CGI application could launch code on the server. Similar attacks are possible via OpenSSH, which could allow even restricted secure shell sessions to bypass controls and execute code on the server.

http://arstechnica.com/security/2014/09/bug-in-bash-shell-creates-big-security-hole-on-anything-with-nix-in-it/

Såg en bra sida igår jag inte hittade nu, men olika exemple på vilka/när man är utsatt. Man får vara noga med vilka program man installerar och kör på sin webserver.

- - -


https://access.redhat.com/articles/1200223

Länken på bilden: https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack

Den sidan verkar ha problem just nu

[xeric]

Här var den dian ovanför som inte funkade nyss: https://securityblog.redhat.com/2014/09/24/bash-specially-crafted-environment-variables-code-injection-attack/

• ForceCommand is used in sshd configs to provide limited command execution capabilities for remote users. This flaw can be used to bypass that and provide arbitrary command execution. Some Git and Subversion deployments use such restricted shells. Regular use of OpenSSH is not affected because users already have shell access.
• Apache server using mod_cgi or mod_cgid are affected if CGI scripts are either written in bash, or spawn subshells. Such subshells are implicitly used by system/popen in C, by os.system/os.popen in Python, system/exec in PHP (when run in CGI mode), and open/system in Perl if a shell is used (which depends on the command string).
• PHP scripts executed with mod_php are not affected even if they spawn subshells.
• DHCP clients invoke shell scripts to configure the system, with values taken from a potentially malicious server. This would allow arbitrary commands to be run, typically as root, on the DHCP client machine.
• Various daemons and SUID/privileged programs may execute shell scripts with environment variable values set / influenced by the user, which would allow for arbitrary commands to be run.
• Any other application which is hooked onto a shell or runs a shell script as using bash as the interpreter. Shell scripts which do not export variables are not vulnerable to this issue, even if they process untrusted content and store it in (unexported) shell variables and open subshells.

[ronny]

I 22 år har buggen funnits

[Alix]

Det finns nog fler.

[mattem]

I 22 år har buggen funnits

 

Det är inte lite det...

 

Det finns nog fler.

 

Troligtvis, tur att de inte är upptäckta, eller så kanske NSA sitter på alla men vill inte berätta

 

Nu är mitt Linuxsystem uppdaterat och inte längre påverkad av buggen. Återstår att se hur snabba Apple är...

[xeric]

Det är inte lite det...

Ja, det fanns i a f en bugg förr (~30år), som påminner om den här (»»). Om det är samma som nu vet jag inte.

[Alix]

Uppdaterade Ubuntu i VB och nu är buggen rättad där. Apple lär nog dröja med sin.

 

[xeric]

Här var en sida som förklarade det på ett bra sätt.

 

https://www.digitalocean.com/community/tutorials/how-to-protect-your-server-against-the-shellshock-bash-vulnerability

[xeric]

Tyvärr är det väl ofrånkomligt, men det är lite sorgligt hur illa hur oinsatta media är i det man rapporterar... https://twitter.com/crazybob/status/515206151005147136

 

 

[Mattiasgbg]

Tyvärr är det väl ofrånkomligt, men det är lite sorgligt hur illa hur oinsatta media är i det man rapporterar... https://twitter.com/crazybob/status/515206151005147136

 

 

En variant, förhoppningsvis fejkad, på samma tema.

http://en.wikipedia.org/wiki/Asiana_Airlines_Flight_214

[xeric]

Haha... Ja, den hade jag sett innan.

- - -

Sitter o läser/följer lite vad som händer och skrivs. Finns tydligen ett par varianter på buggen nu (+ att antal “parser holes”). Men det kom ett par patchar i morse som såg bra ut (3.2-054 och 4.3-027). Som han skrev i kommentaren där på andra:

“In other words, it is THIS patch that plugs the Shell Shock issue, even though there are still more patches needed to plug all of the parser holes that Shell Shock has uncovered.”

Sen finns det en som skrivit hop en guide hur man kan uppdatera själv till Apple fått tummen ur... http://apple.stackexchange.com/questions/146849/how-do-i-recompile-bash-to-avoid-shellshock-the-remote-exploit-cve-2014-6271-an/146851#146851 Med en xtra patch med en xtrafunktion. Han lär säker uppdatera den under dagen eftersom det kom en patch nu efter det han skrev.

Fundderar lite själv på att ev köra varianten nedanför: http://apple.stackexchange.com/questions/146849/how-do-i-recompile-bash-to-avoid-shellshock-the-remote-exploit-cve-2014-6271-an#146943 ...fast köra den med bash-4.3.


Det skall ju bli intressant med att se om Apple väljer att patcha upp 3.2, eller om de kommer att uppgradera helt till 4.3, medans de ändå håller på s a s.

[Alix]

Tillägg: Omfattar alla -x-system, även Mac OS X. Jag kör Mac OS X 10.9.5 och det är sårbart, se dump. Man kan testa med terminalkommandot:

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

Om det är sårbart får man svaret:

vulnerable
this is a test

Om det INTE är sårbart får man svaret:

bash: warning: x: ignoring function definition attempt
bash: error importing function definition for `x'
this is a test

bash.png

Tja, nu står det inte "vulnerable" i alla fall, efter uppdateringen som Apple släppte... Fast inte som det "ska" enligt ovan...

 

[xeric]

Tja, nu står det inte "vulnerable" i alla fall, efter uppdateringen som Apple släppte... Fast inte som det "ska" enligt ovan...

 

patch.png

Det är lite olika... Har också sett en del som undrar varför en del får felmeddelanden och andra intet alls. Vet inget bra svar på det, mer än att det som visas visar att det är patchat nu.

 

Här är lite olika teste om man vill prova.

 

 

 

$ env VAR='() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Test"

$ env -i X=' () { }; echo hello' bash -c 'date'

$ env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

$ env X='() { (a)=>\' bash -c "echo echo vuln"; [[ "$(cat echo)" == "vuln" ]] && echo "still vulnerable :("

$ bash -c 'true <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF' || echo "CVE-2014-7186 vulnerable, redir_stack"

$ bash -c ':<<a<<b<<c<<d<<e<<f<<g<<h<<i<<j<<k<<l<<m<<n'

$ env 'f=() { :<<a<<b<<c<<d<<e<<f<<g<<h<<i<<j<<k<<l<<m<<n
a
b
c
d
e
f
g
h
i
j
k
l
m
n
}' bash -c 'echo hi'
# bara "hi" = ok

$ (for x in {1..200} ; do echo "for x$x in ; do :"; done; for x in {1..200} ; do echo done ; done) | bash || echo "CVE-2014-7187 vulnerable, word_lineno"

# https://lists.gnu.org/archive/html/bug-bash/2014-09/msg00238.html

 

 

[Alix]

Här en bra artikel av en IT-säkerhetsansvarig om hur vanligt det är med prylar omkring oss som är sårbara via bashbuggen. Citat:

 

"On my network, I found it in network devices, load balancers and even a couple of my favorite security products. And one of those was my firewall!

I also found the Shellshock vulnerability in my building’s door access-control system ...

Am I going to have to expect to drop everything, every couple of months, to fix some new major vulnerability? If so, I’m going to need more staff, resources and budget."

[xeric]

med prylar omkring oss som är sårbara via bashbuggen

Ja, de flesta system, routrar, NASservrar osv, har ju ett eget litet OS i sig. Dvs varje enhet har (kan ha) en egen liten bash i sig, som även den behöver uppdateras.

 

Kan tänka mig att en fördel kan vara att köra på t ex en router med open source mjukvara på. Tvivlar på att de stora företagen släpper uppdateringar till gamla.